单片机（Microcontrollers）是一种集成电路芯片，是采用超大规模集成电路技术把具有数据处理能力的中央处理器CPU、随机存储器RAM、只读存储器ROM、多种I/O口和中断系统、定时器/计数器等功能（可能还包括显示驱动电路、脉宽调制电路、模拟多路转换器、A/D转换器等电路）集成到一块硅片上构成的一个小而完善的微型计算机系统，在工业控制领域广泛应用。从上世纪80年代，由当时的4位、8位单片机，发展到现在的300M的高速单片机。

本文介绍了单片机内部密码破解的常用方法，重点说明了侵入型攻击 / 物理攻击方法的详细步骤，最后，从应用角度出发，提出了对付破解的建议。 

1、引言 

单片机（Microcontrollers）一般都有内部 ROM / EEPROM / FLASH供用户存放程序。为了防止未经授权访问或拷贝单片机的机内程序，大部分单片机都带有加密锁定位或者加密字节，以保护片内程序。如果在编程时加密锁定位被使能（锁定），就无法用普通编程器直接读取单片机内的程序，这就是所谓拷贝保护或者说锁定功能。事实上，这样的保护措施很脆弱，很容易被破解。单片机攻击者借助专用设备或者自制设备，利用单片机芯片设计上的漏洞或软件缺陷，通过多种技术手段，就可以从芯片中提取关键信息，获取单片机内程序。因此，作为电子产品的设计工程师非常有必要了解当前单片机攻击的最新技术，做到知己知彼，心中有数，才能有效防止自己花费大量金钱和时间辛辛苦苦设计出来的产品被人家一夜之间仿冒的事情发生。  

2、单片机攻击技术 

目前，攻击单片机主要有四种技术，分别是：
 
（1）软件攻击 

该技术通常使用处理器通信接口并利用协议、加密算法或这些算法中的安全漏洞来进行攻击。软件攻击取得成功的一个典型事例是对早期某系列单片机的攻击。攻击者利用了该系列单片机擦除操作时序设计上的漏洞，使用自编程序在擦除加密锁定位后，停止下一步擦除片内程序存储器数据的操作，从而使加过密的单片机变成没加密的单片机，然后利用编程器读出片内程序。 

（2）电子探测攻击 

该技术通常以高时间分辨率来监控处理器在正常操作时所有电源和接口连接的模拟特性，并通过监控它的电磁辐射特性来实施攻击。因为单片机是一个活动的电子器件，当它执行不同的指令时，对应的电源功率消耗也相应变化。这样通过使用特殊的电子测量仪器和数学统计方法分析和检测这些变化，即可获取单片机中的特定关键信息。

（3）过错产生技术 

该技术使用异常工作条件来使处理器出错，然后提供额外的访问来进行攻击。使用最广泛的过错产生攻击手段包括电压冲击和时钟冲击。低电压和高电压攻击可用来禁止保护电路工作或强制处理器执行错误操作。时钟瞬态跳变也许会复位保护电路而不会破坏受保护信息。电源和时钟瞬态跳变可以在某些处理器中影响单条指令的解码和执行。 

（4）探针技术  

该技术是直接暴露芯片内部连线，然后观察、操控、干扰单片机以达到攻击目的。 

为了方便起见，人们将以上四种攻击技术分成两类，一类是侵入型攻击（物理攻击），这类攻击需要破坏封装，然后借助半导体测试设备、显微镜和微定位器，在专门的实验室花上几小时甚至几周时间才能完成。所有的微探针技术都属于侵入型攻击。另外三种方法属于非侵入型攻击，被攻击的单片机不会被物理损坏。在某些场合非侵入型攻击是特别危险的，这是因为非侵入型攻击所需设备通常可以自制和升级，因此非常廉价。 

大部分非侵入型攻击需要攻击者具备良好的处理器知识和软件知识。与之相反，侵入型的探针攻击则不需要太多的初始知识，而且通常可用一整套相似的技术对付宽范围的产品。因此，对单片机的攻击往往从侵入型的反向工程开始，积累的经验有助于开发更加廉价和快速的非侵入型攻击技术。  

3、侵入型攻击的一般过程 

侵入型攻击的第一步是揭去芯片封装。有两种方法可以达到这一目的：第一种是完全溶解掉芯片封装，暴露金属连线。第二种是只移掉硅核上面的塑料封装。第一种方法需要将芯片绑定到测试夹具上，借助绑定台来操作。第二种方法除了需要具备攻击者一定的知识和必要的技能外，还需要个人的智慧和耐心，但操作起来相对比较方便。 

芯片上面的塑料可以用小刀揭开，芯片周围的环氧树脂可以用浓硝酸腐蚀掉。热的浓硝酸会溶解掉芯片封装而不会影响芯片及连线。该过程一般在非常干燥的条件下进行，因为水的存在可能会侵蚀已暴露的铝线连接。 

接着在超声池里先用丙酮清洗该芯片以除去残余硝酸，然后用清水清洗以除去盐分并干燥。没有超声池，一般就跳过这一步。这种情况下，芯片表面会有点脏，但是不太影响紫外光对芯片的操作效果。
 
最后一步是寻找保护熔丝的位置并将保护熔丝暴露在紫外光下。一般用一台放大倍数至少100倍的显微镜，从编程电压输入脚的连线跟踪进去，来寻找保护熔丝。若没有显微镜，则采用将芯片的不同部分暴露到紫外光下并观察结果的方式进行简单的搜索。操作时应用不透明的纸片覆盖芯片以保护程序存储器不被紫外光擦除。将保护熔丝暴露在紫外光下5—10分钟就能破坏掉保护位的保护作用，之后，使用简单的编程器就可直接读出程序存储器的内容。
 
对于使用了防护层来保护 EEPROM 单元的单片机来说，使用紫外光复位保护电路是不可行的。对于这种类型的单片机，一般使用微探针技术来读取存储器内容。在芯片封装打开后，将芯片置于显微镜下就能够很容易的找到从存储器连到电路其它部分的数据总线。由于某种原因，芯片锁定位在编程模式下并不锁定对存储器的访问。利用这一缺陷将探针放在数据线的上面就能读到所有想要的数据。在编程模式下，重启读过程并连接探针到另外的数据线上就可以读出程序和数据存储器中的所有信息。 

还有一种可能的攻击手段是借助显微镜和激光切割机等设备来寻找保护熔丝，从而寻查和这部分电路相联系的所有信号线。由于设计有缺陷，因此，只要切断从保护熔丝到其它电路的某一根信号线，就能禁止整个保护功能。由于某种原因，这根线离其它的线非常远，所以使用激光切割机完全可以切断这根线而不影响临近线。这样，使用简单的编程器就能直接读出程序存储器的内容。 

虽然大多数普通单片机都具有熔丝烧断保护单片机内代码的功能，但由于通用低档的单片机并非定位于制作安全类产品，因此，它们往往没有提供有针对性的防范措施且安全级别较低。加上单片机应用场合广泛，销售量大，厂商间委托加工与技术转让频繁，大量技术资料外泻，使得利用该类芯片的设计漏洞和厂商的测试接口，并通过修改熔丝保护位等侵入型攻击或非侵入型攻击手段来读取单片机的内部程序变得比较容易。  

4、应对单片机破解的几点建议 

任何一款单片机从理论上讲，攻击者均可利用足够的投资和时间使用以上方法来攻破。所以，在用单片机做加密认证或设计系统时，应尽量加大攻击者的攻击成本和所耗费的时间。这是系统设计者应该始终牢记的基本原则。

先说一个概念：调试，在企业程序设计里（我把企业商务类型的软件开发叫企业程序设计，把单片机与驱动程序这样接触底层汇编与硬件相关的程序设计叫底层程序设计），调试一般都用来跟踪变量的赋值过程，以及查看内存堆栈的内容，查看这些内容的目的在于观察变量的赋值过程与赋值情况从而达到调试的目的。由于企业程序的宿主就是开发它的计算机本身，因此企业程序设计比起底层程序设计，特别是单片机的程序设计调试来的更直观，调试也更方便。

单片机的程序设计调试分为两种，一种是使用软件模拟调试，意思就是用开发单片机程序的计算机去模拟单片机的指令执行，并虚拟单片机片内资源，从而实现调试的目的，但是软件调试存在一些问题，如计算机本身是多任务系统，划分执行时间片是由操作系统本身完成的，无法得到控制，这样就无法时时的模拟单片机的执行时序，也就是说 ，不可能像真正的单片机运行环境那样执行的指令在同样一个时间能完成（往往要完成的比单片机慢）。为了解决软件调试的问题，第二种是硬件调试，硬件调试其实也需要计算机软件的配合，大致过程是这样的：计算机软件把编译好的程序通过串行口、并行口或者USB口传输到硬件调试设备中（这个设备叫仿真器），仿真器仿真全部的单片机资源（所有的单片机接口，并且有真实的引脚输出），仿真器可以接入实际的电路中，然后与单片机一样执行。同时，仿真器也会返回单片机内部内存与时序等情况给计算机的辅助软件，这样 就可以在软件里看到真实的执行情况。不仅如此，还可以通过计算机断的软件实现单步、全速、运行到光标的常规调试手段。

总结一下两者的不同与相同：

相同点：

1：都可以检测单片机执行时序下的片内资源情况（如R0-R7 、PC计数器等）

2：可以实现断点、全速、单步、运行到光标等常规调试手段。

不同：

1：软件调试无法实现直接连接硬件电路的调试，只能通过软件窗口虚拟硬件端口的电平输出情况而仿真器可以实现与单片机一样的功能的硬件连接，从某种意义上说这个时候仿真器就是一个单片机。

2：软件调试执行单片机指令的时间无法与真实的单片机执行时间画上等号，也就是说如果一个程序在单片机中要执行300us，可能在计算机中执行的时间可能会比这个长很多，而且无法预料。仿真器则是完全与单片机相同。

3：软件调试只能是一种初步的，小型工程的调试，比如一个只有几百上千行的代码的程序，软件调试能很好的完成，如果是一个协调系统，可能还需要借助几个单片机仿真器和相关的仪器才能解决。

4：软件仿真不需要额外花钱，而硬件需要，一个仿真器一般都上千元，同时可以仿真许多种单片机的工作。

最后，调试一般都是在发生错误与意外的情况下使用的，如果程序能正常执行调试很多时候是用不上的，所以最高效率的程序开发还是程序员自己做好规范，而不是指望调试来解决问题。

下面将具体介绍如何使用Keil uVision 来软件调试单片机程序。

首先：打开一个已经编译通过的单片机项目（如何新建与编译单片机程序项目这里省略）

选择Debug下面的Start/Stop Debug Session，这个选项可以打开调试也可以关闭调试

接下来看到的窗口就是调试窗口了：

下面具体说说相关子窗口的功能：

1：左侧的ProjectWorkspace

Regs是片内内存的相关情况值，Sys是系统一些累加器、计数器等。Regs很简单就不多说。具体介绍一下Sys

a 累加器ACC，往往在运算前暂存一个操作数（如被加数），而运算后又保存其结果（如代数和）。

b 寄存器B ，主要用于乘法和除法操作

sp

sp_max

dptr 数据指针DPTR

PC $

states 执行指令的数量

sec 执行指令的时间累计（单位 秒）

psw 程序状态标志寄存器PSW，八位寄存器，用来存放运算结果的一些特征，如有无进位、借位等。

p 奇偶标志P。反映累加器ACC内容的奇偶性，如果ACC中的运算结果有偶数个1（如11001100B，其中有4个1），则P为0，否则，P=1。

f1

ov 溢出标志位OV。MCS－51反映带符号数的运算结果是否有溢出，有溢出时，此位为1，否则为0。

rs

f0

ac 辅助进位标志AC。又称半进位标志，它反映了两个八位数运算低四位是否有半进位，即低四位相加（或减）有否进位（或借位），如有则AC为1状态，否则为0。

cy 进位标志CY（PSW7）。它表示了运算是否有进位（或借位）。如果操作结果在最高位有进位（加法）或者借位（减法），则该位为1，否则为0

由于PSW存放程序执行中的状态，故又叫程序状态字?运算器中还有一个按位（bit）进行逻辑运算的逻辑处理机（又称布尔处理机）

根据指令执行的不同上述值会有相应的变化，也正是为了监测这些在单片机中看不到的值而达到调试的目的。

虽然软件调试无法实现硬件调试那样的信号输出，但是可以通过软件窗口的模拟监测输出信号的高低电平以及单片机相关端口的变化。

上图所示，Port0，Port1，Port2，Port3就对应于单片机的四个P0，P1，P2，P3 口，共32个针脚。

这是全部打开后的效果。

有了输出，就应该有输入的设置：

这个按钮可以打开输入预设窗口，输入值窗口如下：

选择不同的Int Source 会有不同的 Selected Interrupt的变化，通过选择与赋值达到模拟输入的目的。

接下来是串口的设置：

这是设置串口的窗口

监测窗口数据还有一个窗口：

点击：

关于串口的问题，以后我会有专门的文章介绍，这里就这样大致介绍一下。

最下面还有一个定时器的设置：

3个定时器与一个看门狗，设置定时器的数量与工程选择的单片机种类有关系，如果是8051就只有2个定时器，如果是选择8052 就有3个定时器了。

定时器的设置很简单：

参考的数很多，这里暂时省略了，以后以专门的篇幅介绍。

下面再介绍一下一些常用的调试按钮：

可以在代码所在窗口的最左边右击按钮插入一个断点，如下图所示：

有了这个功能，你就可以控制监控要执行到某位置时系统的状态。

最后在介绍一下一个很实用的功能：

上图中就可以看出，C51 代码是如何被解释为汇编的。

其实调试还有很多的功能，我这里只是介绍了一小部分，希望能起到抛砖引玉的作用，更多的细节需要你自己去发掘与学习。

一、定义

1、上拉就是将不确定的信号通过一个电阻嵌位在高电平!“电阻同时起限流作用”！下拉同理！

2、上拉是对器件注入电流，下拉是输出电流。

3、弱强只是上拉电阻的阻值不同，没有什么严格区分。

4、对于非集电极（或漏极）开路输出型电路（如普通门电路）提升电流和电压的能力是有限的，上拉电阻的功能主要是为集电极开路输出型电路输出电流通道。

二、拉电阻作用

1、一般作单键触发使用时，如果IC本身没有内接电阻，为了使单键维持在不被触发的状态或是触发后回到原状态，必须在IC外部另接一电阻。

2、数字电路有三种状态：高电平、低电平、和高阻状态，有些应用场合不希望出现高阻状态，可以通过上拉电阻或下拉电阻的方式使处于稳定状态，具体视设计要求而定！

3、一般说的是I/O端口，有的可以设置，有的不可以设置，有的是内置，有的是需要外接，I/O端口的输出类似与一个三极管的C，当C接通过一个电阻和电源连接在一起的时候，该电阻成为上C拉电阻，也就是说，如果该端口正常时为高电平;C通过一个电阻和地连接在一起的时候，该电阻称为下拉电阻，使该端口平时为低电平，作用吗：比如：“当一个接有上拉电阻的端口设为输入状态时，他的常态就为高电平，用于检测低电平的输入”。

4、上拉电阻是用来解决总线驱动能力不足时提供电流的。一般说法是拉电流，下拉电阻是用来吸收电流的，也就是我们通常所说的灌电流。

5、接电阻就是为了防止输入端悬空。

6、减弱外部电流对芯片产生的干扰。

7、保护cmos内的保护二极管，一般电流不大于10mA。

8、通过上拉或下拉来增加或减小驱动电流。

9、改变电平的电位，常用在TTL-CMOS匹配。

10、在引脚悬空时有确定的状态。

11、增加高电平输出时的驱动能力。

12、为OC门提供电流。

三、上拉电阻应用原则

1、当TTL电路驱动COMS电路时，如果TTL电路输出的高电平低于COMS电路的最低高电平（一般为3。5V），这时就需要在TTL的输出端接上拉电阻，以提高输出高电平的值。

2、OC门电路“必须加上拉电阻，才能使用”。

3、为加大输出引脚的驱动能力，有的单片机管脚上也常使用上拉电阻。

4、在COMS芯片上，为了防止静电造成损坏，不用的管脚不能悬空，一般接上拉电阻产生降低输入阻抗，提供泄荷通路。

5、芯片的管脚加上拉电阻来提高输出电平，从而提高芯片输入信号的噪声容限增强抗干扰能力。

6、提高总线的抗电磁干扰能力。管脚悬空就比较容易接受外界的电磁干扰。

7、长线传输中电阻不匹配容易引起反射波干扰，加上下拉电阻是电阻匹配，有效的抑制反射波干扰。

8、在数字电路中不用的输入脚都要接固定电平，通过1k电阻接高电平或接地。

四、上拉电阻阻值选择原则

1、从节约功耗及芯片的灌电流能力考虑应当足够大;电阻大，电流小。

2、从确保足够的驱动电流考虑应当足够小;电阻小，电流大。

3、对于高速电路，过大的上拉电阻可能边沿变平缓。综合考虑。

以上三点，通常在1k到10k之间选取。对下拉电阻也有类似道理。

对上拉电阻和下拉电阻的选择应“结合开关管特性和下级电路的输入特性进行设定，主要需要考虑以下几个因素”：

1、驱动能力与功耗的平衡。以上拉电阻为例，一般地说，上拉电阻越小，驱动能力越强，但功耗越大，设计是应注意两者之间的均衡。

2、下级电路的驱动需求。同样以上拉电阻为例，当输出高电平时，开关管断开，上拉电阻应适当选择以能够向下级电路提供足够的电流。

3、高低电平的设定。不同电路的高低电平的门槛电平会有不同，电阻应适当设定以确保能输出正确的电平。以上拉电阻为例，当输出低电平时，开关管导通，上拉电阻和开关管导通电阻分压值应确保在零电平门槛之下。

4、频率特性。以上拉电阻为例，上拉电阻和开关管漏源级之间的电容和下级电路之间的输入电容会形成“RC延迟”，电阻越大，延迟越大。上拉电阻的设定应考虑电路在这方面的需求。

下拉电阻的设定的原则和上拉电阻是一样的。

OC门输出高电平时是一个高阻态，其上拉电流要由上拉电阻来提供，设输入端每端口不大于100uA，设输出口驱动电流约500uA，标准工作电压是5V，输入口的高低电平门限为0.8V(低于此值为低电平)；2V(高电平门限值)。

选上拉电阻时：500uA x 8.4K= 4.2即选大于8.4K时输出端能下拉至0.8V以下，此为最小阻值，再小就拉不下来了。

如果输出口驱动电流较大，则阻值可减小，保证下拉时能低于 0.8V即可。当输出高电平时，忽略管子的漏电流，两输入口需200uA，200uA x15K=3V即上拉电阻压降为3V，输出口可达到2V，此阻值为最大阻值，再大就拉不到2V了。选10K可用。

COMS门的可参考74HC系列设计时管子的漏电流不可忽略，IO口实际电流在不同电平下也是不同的，上述仅仅是原理，一句话概括为：“输出高电平时要喂饱后面的输入口，输出低电平不要把输出口喂撑了”(否则多余的电流喂给了级联的输入口，高于低电平门限值就不可靠了)。

此外，还应注意以下几点：

A、要看输出口驱动的是什么器件，如果该器件需要高电压的话，而输出口的输出电压又不够，就需要加上拉电阻。

B、如果有上拉电阻那它的端口在默认值为高电平，你要控制它必须用低电平才能控制如三态门电路三极管的集电极，或二极管正极去控制把上拉电阻的电流拉下来成为低电平。

C、尤其用在接口电路中，为了得到确定的电平，一般采用这种方法，以保证正确的电路状态，以免发生意外，比如，在电机控制中，逆变桥上下桥臂不能直通，如果它们都用同一个单片机来驱动，必须设置初始状态。防止直通!驱动尽量用灌电流。

电阻在选用时，选用经过计算后与标准值最相近的一个！

P0为什么要上拉电阻原因有：

1、 P0口片内无上拉电阻。

2、 P0为I/O口工作状态时，上方FET被关断，从而输出脚浮空，因此P0用于输出线时为开漏输出。

3、 由于片内无上拉电阻，上方FET又被关断，P0输出1时无法拉升端口电平。

P0是双向口，其它P1，P2，P3是准双向口。准双向口是因为在读外部数据时要先“准备”一下，为什么要准备一下呢?

单片机在读准双向口的端口时，先应给端口锁存器赋1，目的是使FET关断，不至于因片内FET导通使端口钳制在低电平。

上下拉一般选10k！

本文将为您详解单片机控制板在设计过程中需遵循的三大原则及一些注意事项。

单片机控制板在设计过程中，需要遵循的如下原则：

1、在元器件的布局方面，应该把相互有关的元件尽量放得靠近一些，例如，时钟发生器、晶振、CPU的时钟输入端都易产生噪声，在放置的时候应把它们靠近些。对于那些易产生噪声的器件、小电流电路、大电流电路开关电路等，应尽量使其远离单片机的逻辑控制电路和存储电路（ROM、RAM），如果可能的话，可以将这些电路另外制成电路板，这样有利于抗干扰，提高电路工作的可靠性。

2、尽量在关键元件，如ROM、RAM等芯片旁边安装去耦电容。实际上，印制电路板走线、引脚连线和接线等都可能含有较大的电感效应。大的电感可能会在Vcc走线上引起严重的开关噪声尖峰。防止Vcc走线上开关噪声尖峰的唯一方法，是在VCC与电源地之间安放一个0.1uF的电子去耦电容。如果电路板上使用的是表面贴装元件，可以用片状电容直接紧靠着元件，在Vcc引脚上固定。最好是使用瓷片电容，这是因为这种电容具有较低的静电损耗（ESL）和高频阻抗，另外这种电容温度和时间上的介质稳定性也很不错。尽量不要使用钽电容，因为在高频下它的阻抗较高。

在安放去耦电容时需要注意以下几点：

在印制电路板的电源输入端跨接100uF左右的电解电容，如果体积允许的话，电容量大一些则更好。

原则上每个集成电路芯片的旁边都需要放置一个0.01uF的瓷片电容，如果电路板的空隙太小而放置不下时，可以每10个芯片左右放置一个1~10的钽电容。

对于抗干扰能力弱、关断时电流变化大的元件和RAM、ROM等存储元件，应该在电源线（Vcc）和地线之间接入去耦电容。

电容的引线不要太长，特别是高频旁路电容不能带引线。

3、在单片机控制系统中，地线的种类有很多，有系统地、屏蔽地、逻辑地、模拟地等，地线是否布局合理，将决定电路板的抗干扰能力。在设计地线和接地点的时候，应该考虑以下问题：
逻辑地和模拟地要分开布线，不能合用，将它们各自的地线分别与相应的电源地线相连。在设计时，模拟地线应尽量加粗，而且尽量加大引出端的接地面积。一般来讲，对于输入输出的模拟信号，与单片机电路之间最好通过光耦进行隔离。

在设计逻辑电路的印制电路版时，其地线应构成闭环形式，提高电路的抗干扰能力。

地线应尽量的粗。如果地线很细的话，则地线电阻将会较大，造成接地电位随电流的变化而变化，致使信号电平不稳，导致电路的抗干扰能力下降。在布线空间允许的情况下，要保证主要地线的宽度至少在2~3mm以上，元件引脚上的接地线应该在1.5mm左右。

要注意接地点的选择。当电路板上信号频率低于1MHz时，由于布线和元件之间的电磁感应影响很小，而接地电路形成的环流对干扰的影响较大，所以要采用一点接地，使其不形成回路。当电路板上信号频率高于10MHz时，由于布线的电感效应明显，地线阻抗变得很大，此时接地电路形成的环流就不再是主要的问题了。所以应采用多点接地，尽量降低地线阻抗。

电源线的布置除了要根据电流的大小尽量加粗走线宽度外，在布线时还应使电源线、地线的走线方向与数据线的走线方身一致在布线工作的最后，用地线将电路板的底层没有走线的地方铺满，这些方法都有助于增强电路的抗干扰能力。

数据线的宽度应尽可能地宽，以减小阻抗。数据线的宽度至少不小于0.3mm（12mil），如果采用0.46~0.5mm（18mil~20mil）则更为理想。

由于电路板的一个过孔会带来大约10pF的电容效应，这对于高频电路，将会引入太多的干扰，所以在布线的时候，应尽可能地减少过孔的数量。再有，过多的过孔也会造成电路板的机械强度降低。

来源：互联网